USAs nasjonale sikkerhetsbyrå NSA advarer mot to kritiske sårbarheter i PHP, et programmeringsspråk som brukes av rundt 70 prosent av verdens nettsteder. Det tilsvarer ifølge enkelte anslag mer enn 33 millioner nettsteder, og teknologien brukes blant annet av innholdsstyringssystemet WordPress.

Sårbarhetene kan gjøre det mulig for angripere å trenge inn i serverens filsystem eller en database som brukes av nettapplikasjonen. PHP Foundation har allerede publisert oppdateringer, men NSA mener risikoen er så alvorlig at nettsteder som ikke kan oppdateres umiddelbart, bør tas ut av drift til de er beskyttet.

Sårbarhetene har vært skjult i over 20 år

Feilene har vært til stede i alle PHP-versjoner siden versjon 5, som ble lansert i 2004. Nettsteder som ikke bruker en relativt ny PHP-versjon, kan derfor måtte gjennomføre omfattende oppdateringsarbeid. PHP 8.1 og eldre versjoner støttes ikke lenger.

Anbefalingen er å oppdatere webserveren til den nåværende PHP-versjonen, 8.5.12. Kilden oppgir ikke nærmere detaljer om hvordan de to sårbarhetene fungerer, men fastslår at de kan gi tilgang til sentrale deler av infrastrukturen bak en nettside.

Ble oppdaget ved hjelp av kunstig intelligens

De flere tiår gamle sårbarhetene ble oppdaget gjennom sikkerhetsarbeid med kunstig intelligens. Sikkerhetstestselskapet Calif deltok i OpenAIs initiativ «Patch the Planet», som skal finne svakheter i programvare med åpen kildekode. Ved hjelp av GPT‑5.6 Sol fant selskapet den ene sårbarheten, opplyser OpenAI i et blogginnlegg.

Wiz-teamet brukte på sin side sikkerhetsagenten Wiz Atlas sammen med Gemini 4 Argon og GPT-5.6 Sol. Dette arbeidet avdekket flere sårbarheter i PHP.

OpenAI og Wiz samarbeidet med PHP-prosjektet om oppdateringer før svakhetene ble offentliggjort. Partene gjennomgikk funnene og testet oppdateringene sammen, med bistand fra flere andre selskaper. Wiz takket Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft og Vercel for hjelpen.

Ingen kjente angrep – men kappløpet er i gang

OpenAI opplyser at sårbarhetene ble funnet av sikkerhetsforskere før hackere rakk å oppdage dem. Det er derfor ikke meldt om utnyttelse av feilene i aktive angrep.

Wiz advarer samtidig om at kunstig intelligens kan gjøre det enklere å utnytte sårbarhetene fremover. «With AI this is no longer a barrier. LLMs can help adapt an exploit to different PHP versions, configurations and memory layouts», skriver selskapet i blogginnlegget sitt.

WordPress har presisert at problemet ikke er spesifikt for WordPress. Nettsteder som bruker publiseringssystemet, må likevel oppdatere serverne sine og samarbeide med webhotellet for å sikre at de er beskyttet.

Nå som sårbarhetene er offentlig kjent, kan angripere forsøke å utvikle angrep mot ubeskyttede servere. Derfor haster det for eiere av millioner av nettsteder å installere oppdateringene. NSA anbefaler at PHP-nettsteder som ikke kan patches med en gang, tas offline i mellomtiden.